SPF, DKIM ve DMARC Nedir? E-postalarınız Neden Spam'e Düşüyor?

Teklif gönderdiniz, müşteri "e-postanız gelmedi" diyor. Sonra spam klasöründe buluyor. Bu sorun çoğu zaman e-postanın içeriğinden değil, alan adınızın kimlik doğrulama ayarlarından kaynaklanır. Alıcı sunucu, e-postanın gerçekten sizden gelip gelmediğinden emin olamadığında onu şüpheli sayar.

Bu yazıda e-posta kimlik doğrulamanın üç temel taşı olan SPF, DKIM ve DMARC'ı teknik jargona boğulmadan anlatıyoruz. Her birinin ne işe yaradığını, DNS kaydının nasıl göründüğünü ve adım adım nasıl devreye alınacağını öğreneceksiniz.

E-postalar Neden Spam'e Düşer?

E-posta protokolü onlarca yıl önce, gönderenin kimliğini doğrulamadan tasarlandı. Bu yüzden herkes, herhangi bir adres adına e-posta gönderebilir. Dolandırıcılar da bunu kullanarak sizin alan adınızdan geliyormuş gibi görünen sahte e-postalar yollar.

Gmail, Outlook ve Yahoo gibi büyük sağlayıcılar bu sorunla başa çıkmak için gelen her e-postayı kontrol eder: Bu sunucu bu alan adı adına göndermeye yetkili mi? E-posta yolda değiştirilmiş mi? Alan adı sahibi doğrulamayı geçemeyen e-postalar için ne yapılmasını istiyor? Bu üç sorunun cevabı sırasıyla SPF, DKIM ve DMARC'tır.

Kimlik doğrulama tek etken değildir. Gönderen IP adresinin itibarı, kara listeler, içerik ve alıcıların e-postalarınızı spam olarak işaretleme oranı da rol oynar. Ama doğru SPF, DKIM ve DMARC olmadan diğer her şey doğru olsa bile teslim edilebilirlik zayıf kalır.

SPF: Kim Benim Adıma Gönderebilir?

SPF (Sender Policy Framework), alan adınız adına e-posta göndermeye yetkili sunucuların listesidir. Bu liste, alan adınızın DNS'inde bir TXT kaydı olarak yayınlanır. Alıcı sunucu, e-postayı gönderen sunucunun bu listede olup olmadığına bakar.

Örnek bir SPF kaydı şöyle görünür:

firmaadi.com.tr TXT "v=spf1 mx include:spf.saglayici.com ip4:203.0.113.10 ~all"

• v=spf1: Kaydın bir SPF kaydı olduğunu belirtir.
• mx: Alan adının MX sunucuları gönderebilir.
• include: Başka bir sağlayıcının (örneğin e-posta ya da bülten servisinizin) listesini dahil eder.
• ip4: Belirli bir IP adresine, örneğin ofisteki bir uygulama sunucusuna izin verir.
• ~all: Listede olmayanlar için "şüpheli say" anlamına gelir. -all ise "reddet" demektir.

DKIM: Bu E-posta Yolda Değişti mi?

DKIM (DomainKeys Identified Mail), gönderdiğiniz her e-postaya dijital bir imza ekler. İmza, e-posta sunucunuzda saklanan gizli bir anahtarla oluşturulur. Bu anahtarın açık eşi ise DNS'te yayınlanır. Alıcı sunucu, açık anahtarla imzayı doğrular ve e-postanın gerçekten sizin sunucunuzdan geldiğini ve yolda değiştirilmediğini anlar.

Örnek bir DKIM kaydı:

mail2026._domainkey.firmaadi.com.tr TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh...uzun-acik-anahtar..."

• mail2026: Seçici (selector). Aynı alan adı için birden fazla anahtar kullanabilmenizi sağlar.
• k=rsa: Anahtar türü.
• p=: Açık anahtarın kendisi. Bu değeri e-posta sağlayıcınız üretir; siz sadece DNS'e eklersiniz.

DKIM, SPF'in zayıf kaldığı bir durumu da çözer: E-posta bir yönlendirmeden geçtiğinde gönderen sunucu değişir ve SPF kontrolü başarısız olabilir, ama DKIM imzası e-postayla birlikte taşındığı için geçerliliğini korur.

DMARC: Doğrulama Başarısız Olursa Ne Olsun?

DMARC (Domain-based Message Authentication, Reporting and Conformance), SPF ve DKIM'i bir araya getiren politika katmanıdır. İki iş yapar:

• Alıcı sunuculara, doğrulamayı geçemeyen e-postalarla ne yapmaları gerektiğini söyler.
• Alan adınız adına kimlerin e-posta gönderdiğini gösteren raporları size iletir.

DMARC ayrıca hizalama (alignment) kontrolü yapar: SPF ya da DKIM'in doğruladığı alan adı, alıcının gördüğü "Kimden" adresindeki alan adıyla eşleşmelidir. Bu sayede başka bir alan adıyla SPF'i geçip sizin adresinizi taklit etmek mümkün olmaz.

Örnek bir DMARC kaydı:

_dmarc.firmaadi.com.tr TXT "v=DMARC1; p=none; rua=mailto:dmarc-rapor@firmaadi.com.tr"

DMARC politikaları

• p=none: Sadece izle. Doğrulamayı geçemeyen e-postalara bir şey yapılmaz ama raporlar gelir. Başlangıç noktası budur.
• p=quarantine: Doğrulamayı geçemeyen e-postalar spam klasörüne gönderilir.
• p=reject: Doğrulamayı geçemeyen e-postalar tamamen reddedilir. Alan adınızın taklit edilmesine karşı en güçlü korumadır.

Adım Adım Kurulum

1. Envanter çıkarın. Alan adınız adına e-posta gönderen her şeyi listeleyin: kurumsal e-posta, e-fatura yazılımı, CRM, bülten servisi, web sitesi formları, yazıcı ve tarayıcılar.
2. Tek bir SPF kaydı oluşturun. Tüm bu kaynakları tek bir kayıtta toplayın ve önce ~all ile başlayın.
3. DKIM'i etkinleştirin. E-posta sağlayıcınızdan ve diğer gönderen servislerden DKIM anahtarlarını alıp DNS'e ekleyin.
4. DMARC'ı izleme modunda yayınlayın. p=none ile başlayın ve rapor adresi tanımlayın.
5. Raporları birkaç hafta inceleyin. Unuttuğunuz gönderen kaynakları bu raporlarda göreceksiniz. Onları SPF ve DKIM'e ekleyin.
6. Politikayı kademeli sıkılaştırın. Meşru e-postaların tamamı doğrulamayı geçtiğinde quarantine'e, bir süre sonra da reject'e geçin. Geçişi yumuşatmak için DMARC'taki pct parametresiyle politikayı önce e-postaların bir kısmına uygulayabilirsiniz.

Sık Yapılan Hatalar

Birden fazla SPF kaydı

Bir alan adında yalnızca bir SPF kaydı olabilir. Yeni bir servis eklerken mevcut kaydı güncellemek yerine ikinci bir "v=spf1" kaydı eklemek çok yaygın bir hatadır ve iki kaydın birden geçersiz sayılmasına yol açar.

10 DNS sorgusu sınırı

SPF kontrolü sırasında en fazla 10 DNS sorgusu yapılabilir. Her include, mx ve a ifadesi bu sınırdan yer. İç içe include'lar da sayılır. Çok sayıda servis ekledikçe sınır aşılır ve SPF kontrolü hata verir. Kullanmadığınız servisleri kayıttan çıkarın ve gerekirse sabit IP adreslerini ip4 ile yazın.

DMARC'a doğrudan reject ile başlamak

Envanteri tamamlamadan reject politikasına geçmek, fatura ya da bildirim gibi meşru e-postaların reddedilmesine neden olabilir. Her zaman izleme modunda başlayın.

DKIM'i sadece ana sağlayıcıda açmak

Bülten ve CRM gibi üçüncü taraf servisler de kendi DKIM imzalarını sizin alan adınızla atmalıdır. Aksi halde DMARC hizalaması başarısız olur.

Rapor adresini kimsenin okumaması

DMARC raporları XML formatında gelir ve hacimli olabilir. Bunları okunabilir hale getiren bir araç kullanmak ya da düzenli inceleyecek bir sorumlu belirlemek gerekir.

Büyük Sağlayıcıların Gönderici Kuralları

Google ve Yahoo, 2024 başından itibaren gönderenlere daha sıkı kurallar uygulamaya başladı. Microsoft da Outlook.com için benzer gereksinimler duyurdu. Genel çerçeve şöyledir:

• Tüm gönderenlerin en azından SPF ya da DKIM kullanması, geçerli ters DNS kaydına sahip olması ve TLS ile bağlanması beklenir.
• Toplu gönderim yapanlardan (Google'ın tanımıyla Gmail adreslerine günde 5.000'den fazla e-posta gönderenler) SPF, DKIM ve en azından p=none politikalı bir DMARC kaydı birlikte istenir; "Kimden" adresinin de hizalı olması gerekir.
• Pazarlama e-postalarında tek tıkla abonelikten çıkma imkânı sunulmalı ve spam şikâyet oranı düşük tutulmalıdır.

Bu kuralları karşılamayan e-postalar spam klasörüne düşebilir ya da tamamen reddedilebilir. Küçük bir işletme olsanız bile SPF, DKIM ve DMARC'ı eksiksiz kurmak artık temel bir gerekliliktir.

Kurumsal e-postaya yeni geçiyorsanız bu kayıtları geçişle birlikte kurmak en kolay yoldur. Şirket maili nasıl açılır yazımız bu süreci adım adım anlatıyor.

Kimlik Doğrulama Tek Başına Yetmez

SPF, DKIM ve DMARC doğru kurulduktan sonra bile e-postalar bazen spam'e düşebilir. Şunlara da dikkat edin:

• Gönderen IP itibarı: Paylaşımlı bir sunucudaki başka bir kullanıcının spam göndermesi, aynı IP'den çıkan e-postalarınızı etkileyebilir. Kara listeleri düzenli kontrol edin.
• Liste hijyeni: Satın alınmış listelere ya da izin vermemiş kişilere e-posta göndermek şikâyet oranını artırır ve alan adınızın itibarını hızla düşürür.
• İçerik: Yalnızca görselden oluşan e-postalar, kısaltılmış bağlantılar ve abartılı ifadeler filtrelerin dikkatini çeker.
• Bülten ve günlük yazışmayı ayırmak: Toplu pazarlama gönderimlerini ayrı bir alt alan adından yapmak, günlük iş yazışmalarınızın itibarını korur.

Sık Sorulan Sorular

SPF, DKIM ve DMARC'tan sadece birini kurmam yeterli mi?

Hayır. Üçü birlikte çalışır. SPF ve DKIM kimliği doğrular, DMARC ise bu doğrulamanın "Kimden" adresiyle eşleşmesini ve başarısız olduğunda ne yapılacağını belirler.

Kayıtları ekledim, değişiklik ne zaman etkili olur?

DNS kayıtları genellikle dakikalar ile birkaç saat arasında yayılır. Alan adı itibarının düzelmesi ise biraz daha zaman alabilir; düzenli ve temiz gönderimle birkaç gün ya da hafta içinde iyileşme görülür.

Kayıtlarımın doğru olduğunu nasıl kontrol ederim?

Kendinize ait bir Gmail adresine e-posta gönderip "orijinali göster" seçeneğiyle SPF, DKIM ve DMARC sonuçlarını görebilirsiniz. Çevrim içi DNS kontrol araçları da kayıtlarınızdaki söz dizimi hatalarını gösterir.

DMARC reject politikası meşru e-postalarımı engeller mi?

Envanteriniz eksiksizse ve tüm gönderen kaynaklar SPF ya da DKIM ile hizalıysa hayır. Bu yüzden reject'e geçmeden önce izleme modunda raporları incelemek şarttır.

CloudRUX Kurumsal E-posta

SPF, DKIM ve DMARC'ı doğru kurmak birkaç DNS kaydından ibaret görünse de, ayrıntılar teslim edilebilirliği belirler. CloudRUX kurumsal e-postada bu kayıtları kurulumla birlikte mühendislerimiz yapılandırır, DMARC geçişinizde size eşlik eder ve bir sorun olduğunda karşınızda Türkçe konuşan bir mühendis bulursunuz. Paketler kullanıcı başına aylık 1,19 $'dan (KDV hariç) başlar, kurulum ve taşıma ücretsizdir. Ayrıntılar için kurumsal e-posta sayfamızı inceleyebilir, e-posta teslim sorunlarınızı birlikte incelemek için bizimle iletişime geçebilirsiniz.